Yano's digital garage

昨年末に発表された道路交通法改正試案に対するパブリックコメントの結果が警察庁交通局から公表されてる。

特に問題となるような気配は無い、という事は試案そのままで成立しそうと思ってよいのかな？

参照

All About Japan [バイク] http://allabout.co.jp/auto/motorcycle/

イケそうですよ、二人乗り解禁 2004年2月7日

警察庁 http://www.npa.go.jp/

「道路交通法改正試案」に対する意見の募集の結果について 2004年2月5日

ゴールドに輝く真新しいチェーンは見ているだけでも気持ちいいものだが、走ってなんぼのオートバイ。青空の下「いざ行かん！」

と気は急くのだが、今日は取り敢えず初期ノビを出す＆スプロケとも馴染ませる為、海の中道の調整コースを軽く流す。

やっぱり駆動系をリニューアルしたせいかアクセルに対する加速のレスポンスが良くなったように感じて、3万円近く出費した甲斐があったというものだ。

ひとしきり走ったところで中西食堂のサザエ丼を味わい、志賀島をぐるっと一周。距離的には100kmが目安と言われていたので、新宮町へ抜けて下府からR3を東へ。

宗像市光岡で折り返して、R3を今度は西へ。だいぶ混んできたものの、二輪の機動力を活かしてサクサクッとパス。結局90kmほど走って香椎のランドナーへ。チェーンの調整を済ませ、スプロケとチェーンの噛みもバッチリ馴染むようになって準備OKなり。

朝から時折雪が舞う寒い一日。ま、今週はずっとこんな感じなのだが。

今日は遠出する気もないのでこれ幸いとCBのチェーン交換。しかし16000kmで交換してから、84000kmももったのは我ながらビックリ。敬意を表して同じDIDの525VM G-BRIGHTをチョイス。ゴールドの輝きがちょっぴりゴージャス。

一度も換えてなかった両スプロケもあわせて交換(HONDA純正)したのだが、フロントはイイ感じでくたびれ、リアはまだ使えないことも無いかなぁという状態であった。全て込み込みで28,500円也。

ランドナー TEL:092-672-4533
福岡市東区香住ケ丘2-7-8

久々の走行は小雪の舞う中で言うまでもなく寒かったが、やっぱ風を感じるのは気持ちいい。明日は走れるかな？

10日オープンの小倉伊勢丹がメディア向けのプレビューを実施したのを受けて、昨日から地元メディアもこぞってプロモーションを開始。出店が決った頃はまだまだ先の事だと感じてたのだが、時が経つのは早いものだ。

小倉伊勢丹が出店するセントシティ北九州は、小倉駅前に位置的する超一等地。にも関わらずそごう、玉屋と芳しい成果を出せなかったいわく付きの場所で、以前永照寺があっただけに祟りまがいの噂も無きにしもあらずだが、つまらない噂を一笑に付すような大賑わいを期待したい。

参照

小倉伊勢丹 http://www.kokura-isetan.co.jp/

Mainichi INTERACTIVEによると、容疑者は以下の経緯で照会書を取得したらしい。

石井容疑者は男性の自宅にも出入りしていたが、男性は「（照会書が）大事なものとは思わなかった」といい、封を切らないまま石井容疑者の求めに応じて照会書を渡したという。

いわゆるソーシャルエンジニアリングであろう事は疑う余地すらなかったが、これほど原始的なやり方があろうとはねぇ。

安易に照会書を渡してしまった本人に非を問うのは簡単だが、果たして彼を責められるだろうか？　住基カードの認知度(特に高齢者の)を考えると同様な行動をとる人は少なくないと思う。そうなると500円という発行手数料の手軽さも手伝って真似をする輩も出かねないので、早急に同様の手口による犯罪を防ぐような仕組みが望まれる。

参照

Mainichi INTERACTIVE http://www.mainichi.co.jp/

住基カード：佐賀・鳥栖市での不正取得で男性を逮捕　佐賀県警 2004年2月7日

@IT セキュリティ用語事典 http://www.atmarkit.co.jp/fsecurity/dictionary/indexpage/securityindex.html

ソーシャルエンジニアリング

RealPlayerに攻撃者が任意のコードを実行できてしまう恐れのある欠陥が報告されている。すでに改修されたアップデート版がリリースされているので、[ツール]メニューの**[アップデートをチェック]**から、直ちにアップデートしよう。

参照

ITmedia http://www.itmedia.co.jp/

RealOne PlayerやRealPlayerに複数の脆弱性、任意のコード実行のおそれも 2004年2月6日
IEのセキュリティパッチで一部のアプリケーションの利用に障害 2004年2月5日

Real.com http://www.jp.real.com/

RealNetworks, Inc.、セキュリティ脆弱性に対応するアップデートをリリース 2004年2月4日

まずoffice氏本人による経緯の説明はhttp://www.office.ac/tearoom/noframe.cgi?max=1000#No.1616。「不正アクセス行為」に該当するかどうかはまだどちらとも言えない。一方でゼロデイだから「威力業務妨害」という判断はあり得るかも。もちろん本人に妨害する意図があったとは思ってないが結果責任として追わなければならない、と言われれば反論しづらい。

問題のCGIを作りASKACCSをホスティングしていたのはファーストサーバーからは未だ音沙汰なし。サイトを運営していたヨセフアンドレオンは2月4日の「きまぐれコラム」で

ASKACCS「著作権・プライバシー相談室」を閉鎖に追い込んだ憎っくきサイバーテロリスト、「officeこと、河合一穂」がついに逮捕されました！本日の逮捕にあたっての声明文は、こちらです。それにしても、私、どうしても納得がいきません。officeは「脆弱性を指摘するためにやった」と言っているみたいですが、社長と面会したときには全然違うことを言っていたし。だいたい「脆弱性を指摘するため」なんて、犯行の動機としてあまりにも脆弱です。そんなことのために一線を越える人なんているわけがありません。きっと、他にもっと切実な動機があったんだと思います。ただ、それを口にすることができないんで、「脆弱性」とか言っているんでしょう。とにかく、裁判になったら社長も法廷に立つようですから、みんなでお弁当を持って傍聴に行きましょう。

とぶち上げ、

●また、当社といたしましては、今回の事件の犯人がセキュリティの専門家を自任する人物で、その犯行の現場がセキュリティ関係者によるイベントだったという事実を重く受け止めています。現在、ASKACCSの再開に向けた作業を進めていますが、セキュリティの専門家やセキュリティ技術に依存しないセキュリティのあり方、セキュリティに依存しない情報社会のあり方を模索していかなければならないと考えております。

…等というわけわかんない声明文(googleキャッシュ)を出していたのだが、6日09:54:58頃にサクッと削除した。おやっ？と思ってたら取引先ページからACCSが消えたという事がわかったので、どうやらバッサリ切られた(笑)模様。ACCSにはちゃんと良心があるようで安心した。

2004/03/22追記：ヨセフアンドレオンの「声明 officeこと、河合一穂の逮捕にあたって」http://www.josephandleon.co.jp/seimei.htmlが復活してる！？

参照

ITmedia http://www.itmedia.co.jp/

情報漏えいに揺れたACCS、「モラルに沿った脆弱性指摘を」 2004年2月6日

Tea Room for Conference http://www.office.ac/tearoom/noframe.cgi

ACCSのユーザ様、ファーストサーバー森川氏作のcgiをご利用になり情報を入力された全てのユーザ様への謝罪 2003年11月25日

有限会社ヨセフアンドレオン http://www.josephandleon.co.jp/

声明 officeこと、河合一穂の逮捕にあたって 2004/02/04 (googleキャッシュ)

ACCS不正アクセス京大研究員逮捕事件に関するテンプレ http://www.geocities.jp/officeandaccs/

今日もセキュリティ関連のMLはこの話題で持ちきり。11月に自らの非を認め、ACCSに対しても身分を明らかにしていたのに、なぜ今頃になって逮捕されなければならなかったのか？普通なら任意出頭させてから署内で逮捕するくせに直々に京都まで出向き、用意周到にもカメラの前で逮捕連行した警視庁のあざといデモンストレーションを思うと、やっぱり「京都府警に対する並々ならぬ対抗意識が背景にある」と考えるのが最も合理的で理解し易い。

片や、京大研究員によるハイテク犯罪というスキャンダル性から安易に警視庁の尻馬に乗って権威のプロパガンダに荷担する情けないメディアが多い中、Mainichi INTERACTIVEの「ネット界も困惑？　ACCS不正アクセス事件」はマトモでちょっと救われた。

ただ気になったのが

法的に言えば、個人情報を外部に流出させたり、ダウンロードしなくても、通信が行われている不正アクセス自体が違法行為となるというわけだ。

と言い切っている一節。件の脆弱性はCGIに与えるパラメータを書き換えると蓄積した個人情報が纏めて表示されてしまうという問題だったそうで、これまでのようにIDとパスワードを破ったわけではない(落した個人情報が1184人分に及ぶ事からも正鵠を射ていると思われる)らしい。こういう手法をして「不正アクセス行為」となるのかどうか、まさに意見の分かれているところだ。

CGIパラメーターのIDと思われる数値をあてずっぽうに入れるのはどうだ？とか、アドレスバーを編集してURLの上位へ辿る事すら違法行為となるのではないか？という極論すらあるのだが、こればっかりは判例が出てみない事には憶測の域を出ないわけで、暫くは脆弱性の調査は非常にやりにくくなったと感じているエンジニアは少なくないだろう。

という事からも

善意のぜい弱性の指摘が萎縮するのを問題と見るネット関係者もいる。こうしたなか、経済産業省は情報処理推進機構（IPA）に委託し、ぜい弱性対策の研究を始めた。ぜい弱性を発見したらどこに届け出て、不正アクセス禁止法に抵触せず、ぜい弱性の指摘をするにはどうしたよいのかなどについての基準作りを行うものだ。年度内にも結論が出ることが期待される。

という話があるのだが、去年発足した「特定非営利活動法人日本セキュリティ監査協会」という組織はそれとはまた違うのだろうか？いずれにせよ、不正アクセスになる／ならないを明確化した基準を早く作って欲しい。

ところでところで、ASKACCSのCGIを作ってレンタルしていた一方の当事者ファーストサーバーの名前がどこにも出て来ないのはどういうわけだ？お咎め無しで良いですか？そうですか？

こっそりWebを飾っていた「印刷したら他人の確定申告書　国税庁HPでミス」という記事。

香川県の男性が入力して印刷ボタンをクリックしたところ、愛知県の男性の申告書が印刷されるなど、入力者と別人の申告書が出てきたケースが4件あった。いずれのケースも、2人が同時に印刷をクリックしたところシステムが対応できず、別人のデータが上書きされ出力されてしまったという。

まぁセキュリティインシデント言えばそう言えなくもないが、あまりに情けないバグだ。他ならぬ自分自身で、去年の今頃このシステムを使って還付申告書を作成したのだが、この程度のケースもテストで洗い出せてなかったとは恐るべし。

こっちもせいぜい指名停止程度のペナルティ止りで、法的なお咎めは無しですか？

参照

ITmedia http://www.itmedia.co.jp/

他人の確定申告書が生成されるトラブル、国税庁の「確定申告書作成コーナー」が一時停止 2004年2月5日
ACCS個人情報流出で京大研究員逮捕 2004年2月4日
「足元から火がついた」──ACCSの個人情報流出は1184件、脆弱性を3年以上放置 2003年11月12日
情報処理振興事業協会：予算の10％をセキュリティに投資してほしい 2003年1月1日

Mainichi INTERACTIVE http://www.mainichi.co.jp/

A.D.2003 http://www.ad200x.net/

国立大学研究員によりなされた個人情報漏洩問題に関する調査報告 2004年1月28日

経済産業省 http://www.meti.go.jp/

情報セキュリティ総合戦略

フジカラーパレットプラザを運営するプラザクリエイトがパレットフォトシェアというサービスの実験運用を開始した。プレスリリースによると

「パレットフォトシェア」は、インターネット接続環境にある本ソフトウェアをインストールしたパソコンであれば、登録メンバー同士が画像・その他のデータを、ダイレクトに送受信することができ、リアルタイムで画像を共有・交換したり、チャット機能を使って画像にコメントを入れたアルバムを楽しく簡単に作成できます。そして、交換した画像やグループで編集したアルバム画像を、いつでもお好きな時間に、簡単な操作でプリントのご注文をいただけます。プリント注文はご指定のパレットプラザ店舗のプリントオーダー専用受付機にダイレクトに画像データを転送し、銀塩方式にて出力した高画質プリントをご指定のパレットプラザにて、当日※2にお受取りが可能です。

という事だが、個人的にはリアルタイムで画像を共有したりチャットする必要性は全く必要としない。でも、世間ではネットゲームが流行っているという話しから想像するとそれなりのニーズがあるかも。

ただYahoo!フォトやinfoseekフォトアルバムのようなサーバにアップロードする形でなく、P2P接続とした構成は新しい考え方はどうだろう？常時接続環境が普及したとはいえパソコンを常時起動したままにしている人が多いとは思えないのだが。チャットという通信形態には相性が良いと思うが、画像共有ベースで考えるとその辺りが使い勝手のネックになりはしないかと懸念する。

まぁ取り敢えずパレットフォトシェアをインストールするとネットプリントの初回プリントが50枚まで無料サービス(Lサイズ)というのはウレシイかも。残念ながら店頭で受け取れる加盟店はまだ都内の一部に限られているが、全国一律200円で郵送してもらえるというのはお手軽だ。実験サービスは2004年3月31日までの期間限定なのでお早めに。

なおFAQに書かれている

パレットフォトシェアに登録できる画像フォーマットは、JPG（拡張子.jpg）のみです。その他の画像フォーマットは登録することができませんので、ご了承ください。また拡張子が “jpeg” の画像は登録できません。あらかじめ “jpg” に変更してお使いください。

というのは手抜きでは？試験サービスということもあり大勢には影響無いと判断したのだろうが、本サービス開始時には利用者に手間を煩わせる事ないようソフトの改善を期待したいところだ。

参照

INTERNET Watch http://internet.watch.impress.co.jp/

プラザクリエイト、P2P技術を利用した新プリントサービス実験 2004年1月30日

プラザクリエイト http://www.plazacreate.co.jp/

「パレットフォトシェア」サービスのテストを開始 2004年1月30日

パレットフォトシェア http://photo.80210.com/

FAQ http://photo.80210.com/faq.html

フジカラーイメージングサービス http://www.fujicolor.co.jp/

昨年から問題になっていたURL詐称(スプーフィング)に対処する修正プログラムがやっとリリースされた。但し、これで先の不具合が改修されるわけではなく、ユーザー名とパスワードをURLの中に含めることができなくする事によって暫定的に危険を回避するだけのものである。

一方でこの仕様変更によってアクセスに影響を受けるWebサイトが少なくないかもしれないので、社内システムのUIにブラウザを使っている場合はかなり注意が必要だ。詳細はマイクロソフトサポート技術情報 - 834489を参照。

2ヶ月近くを経ても改修できなかったのねんという残念感もあるが、取り敢えずは危険を回避する手段を提供したマイクロソフトのスタンスは評価したい。…のだが、この修正プログラムを適用すると認証ダイアログボックスで「パスワードを保存する」を選択しても保存されない場合がある、という問題も報告されており、やっぱりなんだかなぁという感じだ。

ちなみにトラブル・メンテナンス速報によると

この現象が発生した場合、以下の手順でユーザー名とパスワードを表示させることが出来る場合があります。

一旦、全ての Internet Explorer の画面を閉じる

Internet Explorer を起動する（どのページを表示していてもかまいません）

もう一つ、別に Internet Explorer を起動する

2番目に起動した Internet Explorer で、ユーザー名とパスワードの入力を行うダイアログボックスを再度表示する

という事だ。

参照

ITmedia http://www.itmedia.co.jp/

TechNetセキュリティセンター http://www.microsoft.com/japan/technet/security/

MS04-004 - Internet Explorer 用の累積的なセキュリティ修正プログラム (832894)
Internet Explorer で HTTP URL と HTTPS URL のユーザー情報を処理する際のデフォルトの動作を変更するソフトウェアアップデートのリリースについて http://support.microsoft.com/?id=834489

まったりとしたのどかな昼休みを揺るがしたoffice氏逮捕の報道。

ASKACCSの個人情報流出事故に対して**「不正アクセス行為禁止法違反」**はともかく、「威力業務妨害」という容疑まで持ち出してくるのは、いかにもうさん臭い。

無作為に第三者のIDでログインした可能性はあるので不正アクセス行為の禁止等に関する法律に規定する不正アクセス行為に抵触する可能性はあるが、氏がシステムやファイアーウォールに対してクラッキング活動を行ったとは聞いていないし、もしそうした行為があったならば電子計算機損壊等業務妨害の適用が合理的で、威力業務妨害を持ち出すのは理解に苦しむ。

asahi.comの記事では

ハイテク犯罪対策総合センターの調べでは、河合容疑者は昨年１１月６〜８日、社団法人コンピュータソフトウェア著作権協会（東京都文京区）のサイトのサーバーに不正に接続し、ネット上で同協会に相談を寄せた約１２００人分の氏名や住所、相談内容などを引き出した疑い。　さらに同月８日、都内で開かれたネットの安全対策担当者やハッカーの集会で、参加者約２００人に接続方法を公開し、協会にも接続したことをメールで通知した。そのうえで、サイトの一部の閉鎖を余儀なくさせ、協会の業務を妨げたとされる。　このサイトは情報を読み出したり書き込んだりするために、「ＣＧＩプログラム」と呼ばれる汎用（はんよう）プログラムが使われていた。河合容疑者はこのプログラムの欠陥を突き、サーバー内の非公開の領域に保存されている情報を引き出したという。

と報道している一方、Mainichi INTERACTIVEでは一歩踏み込んで

調べでは、河合容疑者は昨年１１月６日〜８日の間、計７回にわたり自分のパソコンから協会のサイトに不正にアクセスし、協会に相談や情報提供した人の住所、氏名など約１２００人分の個人情報データを入手。同月８日に渋谷区内で開かれたイベントでこのデータを公開したうえ、情報が漏れたことをメールで協会に知らせ、サイトの閉鎖に追い込んだ疑い。河合容疑者は、掲示板サイトなどで一般的に使われているプログラム「ＣＧＩプログラム」の一部を書き換えて、利用者がパソコンからインターネットサイトに書き込んだ個人情報などを不正に取り込んでいた。

としているが、CGIそのものに欠陥があったのでわざわざ手間をかけて書換える必要なんて無かったと記憶しており、その点ではasahi.comの方が正確。いずれにせよサイトの閉鎖に追い込んだという論調で威力業務妨害を裏付けようとする意図を感じる。

そもそもACCS自らの意思でサイトの停止を決めたという経緯はどこに吹っ飛んでしまったのか？　他ならぬASKACCSの個人情報流出事故調査委員会による調査報告書でも

２　本質的な原因について　上記のとおり、本件の技術的な原因は、当該CGIプログラムに脆弱性があった点にあるが、本質的には、次のような問題があると判断した。 (1)　ACCSは、ASKACCSのホームページについて、セキュリティチェック等の充分な検証を実施していなかった。また、当該CGIプログラムを採用するに際しても、特にセキュリティ上の検証を行っていなかった。　ASKACCSは広く個人情報を収集・取得していたのであるから、そのセキュリティについては細心の注意を払うことが求められていたというべきである。第三者が作成したソフトウェアを利用する場合には、その選定に際して細心の注意を払う必要があると考えるし、採用した後においても、セキュリティ上の問題がないか否かを、継続的に自らの責任で検証する必要があると考える。さらに、ACCSは、これまで情報の取り扱いに関する啓発活動を自ら行ってきていることからすれば、自ら運営するホームページのセキュリティについては、通常の企業等以上に、充分なスキル、体制で臨む必要があると考える。　しかし、ACCSは、レンタルサーバー会社の提供するCGIプログラムを採用する際に、セキュリティ上の検証について入念な検査をしたとは認められなかった。 (2)　ASKACCSは、必要と認められる以上の個人情報を入力させていたと考えられる。　ASKACCSは、不特定の第三者から広く質問を受け付け、それに回答することを目的としていた以上、回答を送付するために必要な最低限の個人情報（メールアドレス等）の入力を求めることはやむを得ないと考える。　しかし、ASKACCSの質問フォームでは、さらに住所・氏名等の個人情報の入力まで要求していたところ、このような情報まで必要であったとは認めがたい。　個人情報を扱う際には、その管理に万全を尽くすことはもちろんであるが、それと同時に、そもそも不必要な個人情報は取得しないことも求められているというべきである。

と原因の本質はASKACCSにあると認めている事からもわかるように、親切心から「ファスナー開いてますよ」と指摘してあげたら逆ギレして「痴漢呼ばわり」されてしまったようなもので、告訴ならACCSの責任転嫁だし、告発に因らないなら警察権力の横暴ではなかろうか。

ていうか、そもそもACCSは逆に個人情報保護法の第四章、一節、二十条

個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

に違反していた可能性が問われないままで良いのか？

一方でoffice氏の京大研究員という肩書から何となく思い出されるのが、Winnyの件で名を上げた京都府警。先を越された感ありありで成果が欲しい警視庁としても京都府警のお膝元で気炎を上げる事ができればしてやったり。そしてoffice氏をスケープゴートにして自らの責任逃れを目論むACCS、そんな両者の思惑が一致して…なんていう裏事情を勘繰ってしまうのは考え過ぎか？

ACCSは「手段のために目的を犠牲としたもので，本末転倒と言わざるを得ない」とコメントしているが、「デジタル時代の情報モラルを考える著作権・プライバシー相談室」を設置したACCSもまた情報モラルを置き去りにして組織防衛に走っているように見えるのだが。

NHK「7時のニュース」でも「総理大臣官邸や総務省、大手都市銀行のホームページなどにも次々に侵入した疑い」とトップ扱い。本人も認めているように確かに1184人分の個人情報のダウンロードや公の場での提示などエスカレートしたのはやり過ぎで、過失と言えども断罪もやむを得ないところだが、いかにもoffice氏が反社会的な人間であるかのような印象を与えかねない論調は憤りを感じざるを得ない。

まぁ警視庁記者クラブにぶらさがった提灯記者に正義やらジャーナリズムを期待するのも酷かと思うが、裁判員制度が始まろうとしている昨今、世論のミスリードだけはゴメン被りたい。

話は変って大阪近鉄バファローズの球団名売却騒動、ナベツネが激怒したからというわけでもないだろうが、asahi.comはさもえらそうに

この手法は「ネーミングライツ（命名権）ビジネス」と呼ばれる。球場などの施設名では、オリックスの本拠「グリーンスタジアム神戸」が昨春、「ＹＡＨＯＯ！（ヤフー）ＢＢスタジアム」に変わった。プロ野球の２軍チームが企業からスポンサー料をもらい、その企業の商標などをチーム名の一部に使った例もある。だが１軍で、親会社以外が名前を付けるのは初めてだ。

と書いているが、西鉄ライオンズの後を受けた太平洋クラブライオンズ、クラウンライターライオンズの球団経営を行ったのは資本関係の無い福岡野球株式会社であり、決して前例が無い事ではない。またNHKでも同様に**「１軍で親会社以外が名前を付けるのは初めて」**とのたまっていたらしいから、どちらも通信社の配信をそのまま鵜呑みにして流したものと思われる。海外ソースならいざ知らず、なんともズサンな事だ。

権威あるマスメディアをしてこの程度の体たらくであるという事を肝に命じ、自らも鵜呑みにする事の無いようにしないとなぁ。

結局、他球団の同意を得ずに公表した事が野球協約違反、という事かな？